Capítulo 7 — OSAKIDETZA #6

—Los certificados de la red clínica se usan para firmar las actualizaciones de los dispositivos médicos —dijo—.

Bombas de infusión, monitores, sistemas de prescripción electrónica.

Son los certificados que la red emite para que las máquinas se reconozcan entre sí.

—Hizo una pausa—. El que tiene uno de esos certificados en su equipo, tiene la llave de todos los dispositivos de la red: puede firmar una actualización, puede cambiarla, puede inyectar un programa en una bomba de infusión sin que nadie lo vea.

—Miró a Irati—. Y puede borrar las huellas de lo que ha hecho, porque la firma es legítima.

Es la firma de la propia red. Nadie va a mirar un certificado emitido por la red que firma una actualización de un dispositivo médico: es exactamente lo que se supone que tiene que hacer.

Irati se quedó un momento en silencio, con el zumbido de los servidores y la pantalla de Leire mostrando la firma digital, y pensó en Andoni Zubiaurre, en el paciente de la huerta, en el hombre que había visto lo que había en Mokorreta.

—¿Y cuánta gente tiene uno de esos certificados? —preguntó.

—Muy poca —dijo Leire—. Son certificados de administración, de los que se emiten para los técnicos de mantenimiento de los dispositivos médicos, para los responsables de sistemas de los hospitales, para las empresas externas que dan servicio a la red.

—Hizo una pausa—. No son certificados de todos: son certificados de muy pocos.

De los que tienen acceso a los dispositivos, de los que firman las actualizaciones, de los que saben que una bomba de infusión se puede tocar desde la red.

—Miró a Irati—. Y eso, Irati, acorta la lista. Mucho.

Irati sintió el frío subirle por la nuca, despacio, como sube la marea.

—¿Y la empresa de Vitoria? —preguntó—. La que notificó la brecha de los sistemas de citas. La de Transportes y Servicios Informáticos Ugarte. ¿Tiene certificados de la red clínica?

Leire se volvió hacia el terminal, tecleó un par de órdenes y se quedó un momento mirando la pantalla, con una expresión que Irati no le había visto antes.

—Sí —dijo, con una voz que sonó más baja—.

La empresa tiene un certificado de administración de la red clínica.

Lo tiene desde hace ocho años. Lo tiene para firmar las actualizaciones de los sistemas de gestión de citas de los centros de salud a los que presta servicio.

—Hizo una pausa—. Y el certificado que usó la bomba de infusión de Basurto, el que firmó la actualización del centro de salud del valle, es un certificado de la misma emisión.

—Miró a Irati—. Es el mismo lote de certificados, Irati.

El de la empresa Ugarte. El de la empresa que notificó la brecha antes que nadie.

El de la empresa que tiene el mismo apellido que el tío de Ane, que el camión que se llevó el contenedor, que el vertedero donde se perdieron las cosas.

Irati se quedó un momento en silencio, con el zumbido de los servidores y las piezas encajando en la cabeza como fichas de un tablero que alguien estaba moviendo desde dentro.

Ugarte.

El apellido que se repetía en todas las esquinas de la marea: en el camión que se llevó el contenedor, en la empresa que notificó la brecha, en el vertedero donde trabajó el tío desaparecido, en la cuenta de servicio que llevaba diez años durmiendo.

—Leire —dijo Irati, con una voz que no era un plan sino una certeza—.

Quiero que mires esa empresa. Todos los certificados que tiene, todas las personas que los usan, todas las actualizaciones que ha firmado, todo el trabajo que ha hecho para la red de Osakidetza en los últimos años.

—Hizo una pausa—. Y quiero que mires a Asier Zabala, el responsable técnico que firmó la notificación de la brecha.

—Miró a Leire—. Porque si la empresa tiene la llave de la red clínica, y la empresa notificó la brecha antes que nadie, y el responsable técnico firmó esa notificación, entonces alguien de esa empresa sabe lo que está pasando en el sistema. Y me gustaría saber quién es.

Leire asintió, con los dedos ya moviéndose sobre el teclado, y se quedó un momento en silencio, con la pantalla encendida y el café muerto sobre la mesa.

—Voy a mirarlo —dijo—. Pero le voy a decir una cosa antes.

—Miró a Irati—. Si el certificado de la bomba de infusión es de la empresa Ugarte, entonces la organización no solo tiene cómplices en la red clínica.

Tiene la llave maestra. La llave de todos los dispositivos médicos de los hospitales vascos.

—Hizo una pausa—. Y eso, Irati, no es un topo.

Es una puerta. Una puerta que llevan abierta desde hace ocho años, y que acaba de usarse para intentar matar a un testigo.

Irati se quedó un momento en silencio, con el zumbido de los servidores y la certeza, la que le subía desde el pecho, de que el caso acababa de cambiar de tamaño otra vez.

La puerta.

La puerta del sótano.

La puerta de Mokorreta.

La puerta que, cuando se abriera del todo, iba a dejar entrar la marea.

Y ahora, con la llave maestra de la red clínica en manos de una empresa con el apellido del tío de Ane, la puerta no se abría sola: se abría desde dentro, con la firma de la propia red, con los certificados que la propia red había emitido, con la confianza que la propia red había depositado en los que sabían dónde estaban todas las puertas.

Irati salió de la sala de servidores a la lluvia de la mañana, con el nombre de la empresa y el de Asier Zabala girándole en la cabeza, y con la certeza de que el caso, por fin, tenía una dirección.

No hacia el puerto.

Hacia la empresa.

Hacia la llave.

Hacia la puerta que, cuando se abriera del todo, iba a dejar entrar la marea.

La puerta del sótano.

La puerta de Mokorreta.

La puerta que, una vez abierta, no se iba a volver a cerrar.